Eine Sicherung zählt erst mit geprobter Wiederherstellung.

Für jeden Dienst legt die Organisation zwei Ziele fest. Das Wiederherstellungspunktziel (Recovery Point Objective) sagt, wie viel Datenverlust zulässig ist, gemessen in Zeit. Das Wiederherstellungszeitziel (Recovery Time Objective) sagt, wie lange der Ausfall dauern darf. Beide stehen als Daten am Dienst. Aus ihnen folgt, wie oft gesichert wird und wie die Wiederherstellung aussehen muss. Das System kann die Ziele nicht festlegen, denn sie sind eine Entscheidung über Risiko.

Die Quellen sind führend und werden von ihren Betreibern gesichert. Das System sichert, was nur es führt: die Versionen der Ontologie, Abbildungen, Regeln, den Verlauf und die Protokolle, die Konfiguration und das Schlüsselmaterial, dieses getrennt und nach eigenem Verfahren. Die Rohzone gehört dazu, wo sie die einzige vollständige Kopie ist, etwa bei Ereignisströmen, deren Log nur begrenzt aufbewahrt wird.

Nicht gesichert wird, was sich aus Code und Rohzone neu bauen lässt: abgeleitete Datensätze, Zwischenspeicher, Indizes. Das ist ein Vorteil von Transformationen als Code, denn die Sicherung bleibt klein und die Wiederherstellung besteht aus einem Neubau. Der Sollzustand der Software liegt in einem Repository und kommt über die Auslieferung zurück.

Als Regel gelten mehrere Kopien auf verschiedenen Medien, davon eine an anderem Ort, und mindestens eine schreibgeschützt oder offline, damit ein Angriff auf den Betrieb nicht auch die Sicherung löscht. Die Sicherung wird mit eigenen Konten und eigenen Schlüsseln verwaltet. Wer den Betrieb administriert, kann sie nicht allein löschen.

Im abgeschotteten Netz bleibt die Sicherung im Netz oder verlässt es auf einem geprüften Weg. Eine Sicherung mit Personenbezug unterliegt denselben Löschregeln wie die Daten; wie Löschen in ihr wirkt, beschreibt die Seite zum Löschen.

Eine Sicherung wird regelmäßig in eine leere Umgebung zurückgespielt und geprüft: Stimmt der Prüfwert der Version der Ontologie, stimmt die Zahl der Objekte je Typ, ist die Kette des Verlaufs bis zum Ende lesbar, laufen die Abfragen? Dauer und Ergebnis der Probe werden gemessen und mit den Zielen verglichen. Eine Probe, die länger dauert als das Zeitziel, ist ein Befund, auch wenn sie gelingt.

Gesichert wird konsistent, also zu einem Zeitpunkt, an dem Ontologie, Verlauf und Rohzone zusammenpassen. Sonst steht in der Wiederherstellung die Ontologie auf einem Stand, den der Verlauf nicht kennt. Eine ungeprobte Sicherung ist eine Annahme.

Zuerst kommen Identität und Schlüssel, dann der Speicher. Danach wird geprüft: Version der Ontologie, Kette des Verlaufs, Zahlen je Typ. Erst dann folgt der Abgleich mit den Quellen, die weitergelaufen sind. FORGE liest ab der gesicherten Position im Log oder ab dem gesicherten Wasserzeichen und holt nach, was in der Zwischenzeit geschah. Abgeleitetes wird neu gebaut, danach folgen Anwendungen.

Agenten laufen zuletzt wieder an, und Freigaben bleiben ausgesetzt, bis der Abgleich abgeschlossen ist. Handlungen, deren Wirkung vor dem Ausfall unklar blieb, werden gegen die Quelle abgeglichen, bevor sie wiederholt werden. Gelöschtes wird nach der Wiederherstellung erneut gelöscht.